Apache Thrift Go-Bindings: Denial of Service durch stark komprimierte Daten
Zusammenfassung
Die Go-Bindings von Apache Thrift begrenzen die entpackte Grösse von ZLIB-komprimierten Frames in THeaderTransport nicht. Ein entfernter Angreifer kann speziell präparierte, stark komprimierte Daten an einen betroffenen Dienst senden und so Ressourcen erschöpfen und einen Denial of Service auslösen. Die Ausnutzung hängt von der Bereitstellung ab, Codeausführung oder Datenabfluss sind nicht möglich.
Betroffen
- Apache Thrift Go-Bindings (github.com/apache/thrift) vor 0.25.0
- Versionen 0.24.0 und älter sind betroffen; die Standardkonfiguration ist nicht betroffen
- Distributionspakete: Azure Linux, Ubuntu und Debian markieren betroffene Versionen; die exakten korrigierten Paketversionen sind unbekannt
Behoben in
- Apache Thrift 0.25.0
Umgehung
Unbekannt. Es ist kein herstellerdokumentierter Workaround bekannt. Die Begrenzung der Grösse komprimierter Eingaben von nicht vertrauenswürdigen Clients und die Begrenzung entpackter Grössen im Anwendungscode sind allgemeine Schutzmassnahmen.
Ausnutzung
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell
- Keine Berichte über aktive Ausnutzung gefunden
- Kein öffentlicher Proof-of-Concept gefunden
- EPSS 0.00426 (PT); CISA-KEV-Status nicht geprüft
Unsere Empfehlung
- Go-Anwendungen auf github.com/apache/thrift v0.25.0 aktualisieren und neu kompilieren
- Software-Inventare und SBOMs auf Thrift-Versionen unter 0.25.0 prüfen, insbesondere bei öffentlich erreichbaren Go-Diensten
- Sicherheitsmeldungen der Distributionen auf korrigierte Paketversionen prüfen
- Betroffene Dienste auf Verfügbarkeitsprobleme überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Thrift mailing list thread 1 lists.apache.org
- Apache Thrift mailing list thread 2 lists.apache.org
- Red Hat Bugzilla 2545152 bugzilla.redhat.com
- Grafana module update (stolostron PR 604) github.com
- Azure Linux OSV record AZL-106569 osv.dev
- Ubuntu CVE record via OSV osv.dev
- PT vulnerability record PT-2026-109206 vulners.com
- F5 article K000163067 (related CVE-2026-48586) my.f5.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:17.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.